凌晨三点，止s注入我盯着屏幕上那条报错日志，代码后背发凉。止s注入用户输入框里躺着一串诡异的代码字符：`' OR 1=1 --`。这串东西要是止s注入真进了数据库，我辛苦搭的代码会员系统就跟裸奔没区别。这不是止s注入我第一次见到SQL注入攻击，但每次撞上，代码都像被人拿钥匙捅了自家门锁。止s注入

防注入的代码思路其实特别直白——把用户输入当数据，别当代码。止s注入可很多新手写代码时，代码偏偏爱用拼字符串的止s注入方式查数据库。你写`"SELECT * FROM users WHERE name='" . $_POST['name'] . "'"`，代码看着挺顺手，止s注入实际上是把数据库的枪递到了黑客手里。对方只要在输入框里填点花样，你的查询语句就变成了一匹脱缰的野马。

最靠谱的防御手段是预处理语句（Prepared Statements）。拿PHP的PDO来说，代码长这样：

$stmt = $pdo->prepare('SELECT * FROM users WHERE name = :name'); $stmt->execute(['name' => $_POST['name']]); 

这里头有个关键细节：`:name`是个占位符，PDO会把用户输入的内容当成纯粹的字符串值，压根不给它变成SQL逻辑的机会。哪怕输入框里塞满`OR 1=1`，数据库也只会老老实实去找名字叫"OR 1=1"的用户——找不到就返回空结果，攻击瞬间失效。

有人嫌预处理麻烦，觉得用`mysqli_real_escape_string()`转义一下就行。这想法就像给木门上了把挂锁，防得住君子，防不住拿撬棍的。转义函数处理某些字符集时存在漏洞，历史上出过好几起绕过案例。你要是图省事用这个，等于把安全寄托在黑客没研究过你的编码上——赌注太大了。

还有个容易踩的坑：以为只要防住登录框就万事大吉。实际上，搜索框、排序参数、甚至HTTP头里的User-Agent都可能成为注入点。我见过一个案例，攻击者把恶意代码藏在URL的`order`参数里，直接改了后台的排序逻辑，把管理员密码哈希全拖走了。所以别只盯着表单，所有进入SQL语句的外部数据，都得过一遍预处理这道闸门。

写代码时养成习惯：凡是涉及数据库操作的函数，统一封装，强制走预处理接口。我自己的项目里直接规定，禁止手写拼接SQL，代码审查时看到字符串拼接直接打回。这规矩看着死板，但真能救命。去年有个同事图快，在导出功能里拼了个变量，差点把客户表全量数据送出去——幸好测试环境先炸了。

最后说个实在的：把数据库账号权限也收紧。就算哪天注入真发生了，一个只有SELECT权限的账号，能造成的破坏也有限。别用root连库，那是给管理员留的后门，不是给业务代码用的。分层防御，哪层都不嫌多。

折腾完这些，再去翻那天的攻击日志，我反而有点感谢那个半夜摸进来的黑客。要不是他，我可能还在用转义函数自我安慰。现在每次写SQL，手指敲到`prepare`那行，心里都踏实得很。